LTE VPN aloqasi ustida EoIP: kichik RouterOS laboratoriyasini qurish

EoIP to‘liq Ethernet kadrini oladi, uni GRE ichiga o‘raydi va sozlangan uzoq manzilga yuboradi, shuning uchun natija marshrut kabi emas, kabel kabi ishlaydi. Routerdan chiqadigan narsa IP protokoli 47 bo‘lib, unda asl kadr yuk sifatida bo‘ladi, shuning uchun translyatsiyalar, ARP va IP bo‘lmagan protokollar barchasi o‘tadi. GRE o‘zining maxfiyligini qo‘shmaydi va kadr tashqi paketni ko‘radigan har qanday narsa uchun o‘qiladigan bo‘lib qoladi. Aynan shu bir fakt bu laboratoriyaning tartibini belgilaydi: avval shifrlangan yo‘lni quring, keyin uning ichida Ethernet tashang.

EoIP nima bilan o‘raydi va nima bilan o‘ramaydi

Inkapsulyatsiya butun mexanizm. Kadr ko‘prikka ulangan portga keladi, GRE sarlavhasi va tashqi IP sarlavhasini oladi va sherik routerga yetkaziladi, u ikkalasini ham olib tashlab, kadrni o‘z ko‘prigiga kiritadi. Qabul qiluvchi ko‘prik manba MACni xuddi mahalliy portdan o‘rgangan kabi o‘rganadi. Bu jarayonda hech narsa kadrni tasdiqlamaydi va yashirmaydi.

Shuning uchun maxfiylik GRE paketi yurgan yo‘ldan kelishi kerak. Bu loyihada pastki qatlam ikki router o‘rtasidagi WireGuard yoki IPsec tunnelidir va EoIP uning ichida tashiladi. MikroTik EoIP interfeysining o‘zida ham avtomatik IPsec variantini taklif qiladi, bu boshqa tartib va bu laboratoriya uni sozlamaydi.

Marshrutlangan IP xizmatlari uchun marshrutlangan VPN kichikroq loyiha va unga afzallik berish kerak. Ikkinchi qatlamga faqat qurilma haqiqatan boshqa saytning Ethernet kadrlarini ko‘rishi kerak bo‘lganda murojaat qiling.

Oldindan shartlar: shifrlangan pastki qatlam va ikkita foydalanilmagan port

Ikkala routerga ham o‘rnatilgan shifrlangan aloqa va unda sherik yeta oladigan manzil kerak. Tashqi ulanishni LTE tomoni boshlaydi, shuning uchun hub hech qachon mobil tarmoqqa qo‘ng‘iroq qilmaydi va LTE router operator talab qiladigan NAT holatini saqlaydi. Ustiga biror narsa qo‘shishdan oldin tunnel ishlayotganini tasdiqlang, chunki o‘z uzoq manziliga yeta olmaydigan EoIP interfeys noto‘g‘ri sozlangan bilan bir xil ko‘rinadi.

Har bir routerga allaqachon ko‘prik a'zosi, VLAN trunk, boshqaruv interfeys yoki ishlab chiqarish aloqasi bo‘lmagan bitta port ham kerak. Ishlab turgan portni qarzga oladigan laboratoriya laboratoriya emas va muvaffaqiyatsizlik usuli ishlab turgan tarmoqda translyatsiya bo‘roni. Boshlashdan oldin boshqaruvni boshqa interfeysga yoki konsolga ko‘chiring.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Bu qiymatlar misol, talab emas. Ular tunnel interfeyslarida bo‘lishi va himoyalangan yo‘l orqali marshrutlanishi kerak. Ikkala routerning xavfsizlik devori siyosati ikki tunnel manzili o‘rtasida GREga ruxsat berishi kerak va GRE — IP protokoli 47, 47 raqamli TCP yoki UDP port emas. Bu loyiha hech qachon xom GREni ikkala WANga ham ochmaydi.

Mos keluvchi IDlar bilan tunnel juftini yarating

Ikki uchi ikki marta aniqlangan bitta mantiqiy interfeys, shuning uchun har bir identifikatsiya maydoni mos kelishi kerak. Hubda:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

LTE routerda manzillar teskari bo‘ladi va MAC boshqacha:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

Tunnel ID ikkala uchida mos kelishi va har qanday routerda allaqachon sozlangan boshqa juftlik bilan to‘qnashmasligi kerak. MAC manzillar mahalliy boshqariladigan qiymatlar bo‘lib, ular siz qo‘shilayotgan ikkinchi qatlam domenida noyob bo‘lishi kerak, shuning uchun ishlab chiqaruvchi misolidagi qiymatni qayta ishlatmang. Interfeys nomlari har bir router uchun mahalliy va faqat o‘z skriptlaringiz uchun izchil bo‘lishi kerak.

Joriy EoIP qo‘llanmasi oxirgi nuqta va tunnel ID maydonlarini hujjatlashtiradi va EoIP GRE ustidagi Ethernet ekanini aniq aytadi. Bu buyruqda hech narsa hech narsani shifrlamaydi, shuning uchun pastki qatlam tekshiruvi birinchi bo‘ladi.

Faqat sinov portlarini ko‘priklang

Ko‘prik tunnni segmentga aylantiradi va uning tarkibi butun xavfsizlik chegarasidir. Hubda:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

LTE routerda:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Bu buyruqlar yangi ko‘priklar yaratadi va har biriga aynan ikkita port qo‘shadi. EoIP interfeysi ikkinchi qatlam a'zosi; shifrlangan tunnel marshrutlangan transport bo‘lib qoladi va uni hech qachon ko‘prik porti sifatida qo‘shmaslik kerak. Ishlab chiqarish portini qo‘shmang va laboratoriya ko‘prigida DHCP serverini ishga tushirmang.

Ikki sinov xostiga foydalanilmagan kichik tarmoqda raqobatchi DHCP serversiz manzillar bering, masalan 192.168.77.11/24 va 192.168.77.12/24. Ular o‘sha kichik tarmoq ichida bir-biriga yetish uchun standart shlyuzga muhtoj emas va kadrlar o‘tishi uchun router interfeys manzili talab qilinmaydi.

LANni kengaytirishdan oldin qo‘shimcha xarajatni rejalashtiring

IPv4 ustidagi EoIP tashilayotgan yuk atrofida Ethernet, GRE va tashqi IP sarlavhalarini qo‘shadi. Belgi qo‘yilmagan holat uchun MikroTik 42 baytni hujjatlashtiradi, shuning uchun 1400 bayt foydali IP MTUga ega pastki qatlam ichki kadr uchun 1358 bayt qoldiradi. Bu raqam byudjet, universal MSS qiymati emas va u ko‘prikdagi xostni kichikroq kadrlar yuborishga majburlamaydi.

Yo‘ldagi haqiqiy chegaralarni tekshiring, so‘ngra qurilma haqiqatan yuboradigan eng katta kadr bilan sinang. Himoyalangan yo‘l ichida bo‘laklanishi kerak bo‘lgan 1500 baytli kadr sig‘adigan kadrdan boshqacha ishlaydi va farq aloqa nosozligi sifatida emas, ilova to‘xtashi sifatida ko‘rinadi.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP halqalarni boshqaradi, ixtiyoriy parallel yo‘llarni emas, shuning uchun pilot topologiyani sodda saqlang. Ko‘prikni kengaytirish mobil aloqa bo‘ylab translyatsiya, multicast va DHCP xatti-harakatini ham kengaytiradi va bu trafik foydali kadr harakatlanishidan qat'i nazar quvvat sarflaydi.

Ishlab chiqarish ulanishini faqat laboratoriya sizga haqiqatan kerak bo‘lgan kadr o‘lchami va ilova xatti-harakatiga yetganda rejalashtiring. Bu o‘tishdan oldin manzillash, VLAN a'zoligi, DHCP vakolati, halqalarning oldini olish va aloqa o‘zi uzilganda kimdir routerlarga qanday yetishi haqida kelishing. Ethernet kengaytmasi qurilmalar bilan birga nosozlik domenlarini ham bog‘laydi, shuning uchun u ishlab turgan ko‘prikda yana bitta port emas, o‘zgarish oynasiga loyiq.